İzinler (Veritabanı Motoru)

Şunlar için geçerlidir:SQL ServerAzure SQL VeritabanıAzure SQL Yönetilen ÖrneğiAzure Synapse AnalyticsAnaliz Platformu Sistemi (PDW)Microsoft Fabric'teki SQL analiz uç noktasıMicrosoft Fabric'teki ambarMicrosoft Fabric'teki SQL veritabanı

Güvenliği sağlanabilir her SQL Server, sorumluya verilebilen ilişkili izinlere sahiptir. Veritabanı Altyapısı'ndaki izinler, oturum açma bilgilerine ve sunucu rollerine atanan sunucu düzeyinde ve veritabanı kullanıcılarına ve veritabanı rollerine atanan veritabanı düzeyinde yönetilir. Azure SQL Veritabanı modeli, veritabanı izinleri için aynı sisteme sahiptir, ancak sunucu düzeyi izinleri kullanılamaz. Bu makale, izinlerin tam listesini içerir. İzinlerin tipik bir uygulaması için bkz. Veritabanı Altyapısı izinlerini kullanmaya başlama.

SQL Server 2022 (16.x) için toplam izin sayısı 292'dir. Azure SQL Veritabanı 292 izni kullanıma sunar. çoğu izin tüm platformlar için geçerlidir, ancak bazıları uygulanmaz. Örneğin, sunucu düzeyindeki izinlerin çoğu Azure SQL Veritabanı'nda verilemiyor ve birkaç izin yalnızca Azure SQL Veritabanı'nda anlamlıdır. Yeni sürümlerle birlikte yeni izinler aşamalı olarak kullanıma sunuluyor. SQL Server 2019 (15.x), 248 izni kullanıma sunar. SQL Server 2017 (14.x), 238 izni kullanıma sundu. SQL Server 2016 (13.x) 230 izni açığa çıkardı. SQL Server 2014 (12.x) 219 izin sağladı. SQL Server 2012 (11.x), 214 izin sundu. SQL Server 2008 R2 (10.50.x) 195 izin kullanıma sunuldu. sys.fn_builtin_permissions makale, son sürümlerde hangi izinlerin yeni olduğunu belirtir.

Microsoft Fabric'teki SQL veritabanında yalnızca veritabanı düzeyindeki kullanıcılar ve roller desteklenir. Sunucu düzeyinde oturum açma, roller ve sa hesap kullanılamaz. Microsoft Fabric'teki SQL veritabanında, veritabanı kullanıcıları için Microsoft Entra Id desteklenen tek kimlik doğrulama yöntemidir. Daha fazla bilgi için bkz. Microsoft Fabric SQL veritabanında yetkilendirme.

Gerekli izinleri anladıktan sonra, , GRANTve REVOKE deyimlerini kullanarak DENYoturum açma bilgilerine veya sunucu rollerine sunucu düzeyinde izinler ve kullanıcılara veya veritabanı rollerine veritabanı düzeyi izinleri uygulayabilirsiniz. Örneğin:

GRANT SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;
REVOKE SELECT ON SCHEMA::HumanResources TO role_HumanResourcesDept;

İzin sistemini planlama hakkında ipuçları için bkz. Veritabanı Altyapısı izinlerini kullanmaya başlama.

İzin adlandırma kuralları

Adlandırma izinleri için izlenen genel kurallar aşağıda açıklanmaktadır:

• CONTROL

  Sahiplik benzeri yetkileri hibe edene verir. Onaylanan, korumalı nesne üzerinde tüm tanımlı izinlere fiilen sahiptir. CONTROL yetkisi verilen bir kullanıcı, güvenlik nesneleri üzerinde izinler de verebilir. SQL Server güvenlik modeli hiyerarşik olduğundan, belirli bir kapsamdaki CONTROL, bu kapsam altındaki tüm güvenli hale getirilebilir öğelerde CONTROL'i örtük olarak içerir. Örneğin, veritabanındaKI CONTROL, veritabanındaki tüm izinleri, veritabanındaki tüm derlemelerdeki tüm izinleri, veritabanındaki tüm şemalardaki tüm izinleri ve veritabanındaki tüm şemalardaki nesneler üzerindeki tüm izinleri ifade eder.

• ALTER

  Belirli bir güvenlik nesnesinin sahipliği haricindeki özelliklerini değiştirme yetkisi verir. Bir kapsamda verildiğinde, ALTER ayrıca o kapsamda yer alan herhangi bir güvenlik nesnesini değiştirme, oluşturma veya silme yeteneğini de sağlar. Örneğin, şemadaki ALTER izni şemadan nesne oluşturma, değiştirme ve bırakma özelliğini içerir.

• HERHANGİ BİR <Sunucu Güvenlik Nesnesini Değiştir,> burada Sunucu Güvenlik Nesnesi herhangi bir sunucunun güvenlik nesnesi olabilir.

  Sunucu Güvenliği Sağlanabilir'in tek tek örneklerini oluşturma, değiştirme veya bırakma özelliğini sağlar. Örneğin ALTER ANY LOGIN , örnekte herhangi bir oturum açma bilgisi oluşturma, değiştirme veya bırakma olanağını ortaya atar.

• < Veritabanı Güvenlik Nesnesi>'ni DEĞIŞTIRME, burada Veritabanı Güvenlik Nesnesi veritabanı düzeyinde herhangi bir güvenlik nesnesi olabilir.

  Veritabanı Güvenliği Öğesi'nin tek tek örneklerini OLUŞTURMA, DEĞIŞTIRME veya SILME yeteneğini sağlar. Örneğin ALTER ANY SCHEMA , veritabanında herhangi bir şema oluşturma, değiştirme veya bırakma olanağını ortaya atar.

• Sahipliği devral

  Hibeyi verenin, kendisine verilen güvenli hale getirilebilir öğesinin sahipliğini almasını sağlar.

• BAŞKASI ADINA GİRİŞ <Oturum Açma>

  Yetki verilen kişiyi oturum açma kimliğine bürünmesini sağlar.

• < Kullanıcı> Kimliğine Bürün

  Verenin kullanıcının kimliğine bürünmesini sağlar.

• CREATE <Server Securable>

  Verene Sunucu Güvenli Hale Getirilebilir oluşturma yeteneğini bahşeder.

• CREATE <Veritabanı Güvenliği Sağlanabilir>

  Kayda, Veritabanı Güvenlik Nesnesi oluşturma yeteneği verir.

• CREATE Şema İçeren Güvenlik Öğesi <>

  Şemayla kapsanan güvenli hale getirilebilir öğeyi oluşturma olanağını gösterir. Ancak, belirli bir şemada güvenlik nesnesi oluşturmak için şema üzerinde ALTER izni gereklidir.

• VIEW TANIMI

  Onay verenin meta verilere erişmesini sağlar.

• REFERENCES

  Bir tablodaki REFERANS izni, o tabloyu referans alan bir FOREIGN KEY kısıtlaması oluşturmak için gereklidir.

  Bu nesneye başvuran WITH SCHEMABINDING ifadesiyle bir FUNCTION veya VIEW oluşturmak için, nesne üzerinde REFERENCES izni gerekir.

SQL Server izinlerinin grafiği

Aşağıdaki görüntüde izinler ve birbirleriyle ilişkileri gösterilmektedir. Üst düzey izinlerden bazıları (CONTROL SERVERgibi) birçok kez listelenir. Bu makalede poster okunamayacak kadar küçük. Tam boyutlu Veritabanı Altyapısı İzinleri Posteri PDF biçiminde indirebilirsiniz.

Belirli güvenli hale getirilebilir öğeler için geçerli izinler

Aşağıdaki tabloda, ana izin sınıfları ve uygulanabilecekleri güvenlik nesneleri listelenmiştir.

SQL Server izinleri

Aşağıdaki tabloda SQL Server izinlerinin tam listesi sağlanmaktadır. Azure SQL Veritabanı izinleri yalnızca desteklenen temel güvenli hale getirilebilir öğeler için kullanılabilir. Azure SQL Veritabanı'nda sunucu düzeyinde izinler verilemiyor, ancak bazı durumlarda bunun yerine veritabanı izinleri kullanılabilir.

SQL Server 2022'ye yeni ayrıntılı izinler eklendi

SQL Server 2022'ye aşağıdaki izinler eklenir:

• Sistem meta verilerine erişime izin vermek için 10 yeni izin eklendi.

• Genişletilmiş olaylar için 18 yeni izin eklendi.

• Güvenlikle ilgili nesnelerle ilgili olarak 9 yeni izin eklendi.

• Ledger için 4 izin eklendi.

• 3 ek veritabanı izni.

Daha fazla bilgi için bkz. PoLP ile uyumluluğu geliştirmek için SQL Server 2022 ve Azure SQL için yeni ayrıntılı izinler.

Sistem meta veri izinlerine erişim

Sunucu düzeyi:

• VIEW TÜM GÜVENLIK TANıMLARı
• VIEW TÜM PERFORMANS TANıMLARı
• VIEW SUNUCU GÜVENLIK DURUMU
• VIEW SUNUCU PERFORMANS DURUMU
• VIEW KRIPTOGRAFIK OLARAK GÜVENLI HERHANGI BIR TANıM

Veritabanı düzeyi:

• VIEW DATABASE GÜVENLIK DURUMU
• VIEW DATABASE PERFORMANS DURUMU
• VIEW GÜVENLIK TANıMı
• VIEW PERFORMANS TANıMı
• VIEW KRIPTOGRAFIK OLARAK GÜVENLI TANıM

Genişletilmiş olay izinleri

Sunucu düzeyi:

• HERHANGİ Bİrİ OLUŞTURUN EVENT SESSION
• HERHANGİ BİRİNİ BIRAKIN EVENT SESSION
• HERHANGI BIR EVENT SESSION SEÇENEĞI DEĞIŞTIRME
• HERHANGİ BİR EVENT SESSION EKLEME OLAYINI DEĞİŞTİR
• HERHANGİ BİR EVENT SESSION DROP EVENT DEĞİŞTİRME
• HERHANGİ Bİr EVENT SESSION ETKİnLEŞTİr
• HERHANGİ Bİr EVENT SESSION DEVRE DIŞINI DEĞIŞTIRME
• HERHANGİ BİR EVENT SESSION EKLEME HEDEFİNİ DEĞİŞTİRME
• HERHANGİ BİR EVENT SESSION BIRAKMA HEDEFİNİ DEĞİŞTİR

Bu izinlerin tümü aynı üst izin altında: ALTER ANY EVENT SESSION

Veritabanı düzeyi:

• HERHANGİ Bİrİ OLUŞTURUN DATABASEEVENT SESSION
• HERHANGİ BİRİNİ BIRAKIN DATABASEEVENT SESSION
• HERHANGI BIR DATABASEEVENT SESSION SEÇENEĞI DEĞIŞTIRME
• HERHANGİ BİR DATABASEEVENT SESSION EKLE OLAYINI DEĞİŞTİR
• HERHANGİ BİR DATABASEEVENT SESSION DROP EVENT’İ DEĞİŞTİR
• HERHANGİ BİR DATABASEEVENT SESSION DEĞİŞTİR ETKİNLEŞTİR
• HERHANGİ BİR DATABASEEVENT SESSION DEVRE DIŞI BIRAKMA
• HERHANGİ BİR DATABASEEVENT SESSION HEDEF EKLEMEYİ DEĞİŞTİRME
• Herhangi bir DATABASEEVENT SESSION bırakma hedefini değiştir

Tüm bu izinler aynı üst izin altındadır: ALTER ANY DATABASEEVENT SESSION

Güvenlikle ilgili nesne izinleri

• KONTROL (CREDENTIAL)
• CREATE LOGIN
• CREATE USER
• BAŞVURULAR (CREDENTIAL)
• MASKESİ KALDıR (NESNE)
• MASKEYİ KALDIR (SCHEMA)
• VIEW HERHANGİ BİR HATA GÜNLÜĞÜ
• VIEW SUNUCU GÜVENLİĞİ DENETİmİ
• VIEW DATABASE GÜVENLIK DENETIMI

Kayıt defteri izinleri

• DEFTERİ DEĞİŞTİR
• KAYıT DEFTERI YAPıLANDıRMASıNı DEĞIŞTIRME
• DEFTERİ ETKİNLEŞTİR
• VIEW DEFTER İÇERİĞİ

Diğer veritabanı izinleri

• HARICI HERHANGİ BİR GÖREVİ DEĞİŞTİR
• TÜM DıŞ AKıŞLARı DEĞIŞTIRME
• HERHANGİ BİR HARİCİ ENDPOINT ÇALIŞTIR

İzin denetimi algoritmasının özeti

İzinleri denetlemek karmaşık olabilir. İzin denetimi algoritması, hem açık hem de örtük izinler olmak üzere çakışan grup üyeliklerini ve sahiplik zincirini içerir ve güvenli hale getirilebilir varlığı içeren güvenli hale getirilebilir sınıflardaki izinlerden etkilenebilir. Algoritmanın genel süreci, tüm ilgili izinleri toplamaktır. Engelleme DENY bulunmazsa algoritma, yeterli erişim sağlayan bir GRANT öğesini arar. Algoritma üç temel öğe içerir: güvenlik bağlamı, izin alanı ve gerekli izin.

• Güvenlik bağlamı

  Bu, erişim denetimine izinler katkıda bulunan sorumlular grubudur. Bunlar, güvenlik bağlamı EXECUTE AS deyimi kullanılarak başka bir oturum açma ya da kullanıcıya değiştirilmediği sürece, geçerli oturum açma veya kullanıcıyla ilgili izinlerdir. Güvenlik bağlamı aşağıdaki ilkeleri içerir:

  • Oturum açma

  • Kullanıcı

  • Rol üyelikleri

  • Windows grup üyelikleri

  • Modül imzalama kullanılıyorsa, kullanıcının yürütmekte olduğu modülü imzalamak için kullanılan sertifika için herhangi bir oturum açma veya kullanıcı hesabı ve bu sorumlunun ilişkili rol üyelikleri.

• İzin alanı

  Bu, güvenlik sağlanabilir varlık ve güvenlik sağlanabilir varlığı içeren herhangi bir güvenlik sağlanabilir sınıftır. Örneğin, bir tablo (güvenli hale getirilebilir varlık) şema güvenliği sağlanabilir sınıfı ve veritabanı güvenli hale getirilebilir sınıfı tarafından bulunur. Access tablo, şema, veritabanı ve sunucu düzeyinde izinlerden etkilenebilir. Daha fazla bilgi için bkz. İzin hiyerarşisi (Veritabanı Altyapısı).

• Gerekli izin

  Gereken izin türü. Örneğin, INSERT, UPDATE, DELETE, SELECT, EXECUTE, ALTER, CONTROL vb.

  Access, aşağıdaki örneklerde olduğu gibi birden çok izin gerektirebilir:

  • Bir depolanmış yordam, hem depolanmış yordam için EXECUTE izni hem de depolanmış yordamın başvurduğu çeşitli tablolarda INSERT izni gerektirebilir.

  • Dinamik yönetim görünümü, görünümde hem SUNUCU DURUMU hem de VIEW SELECT izni gerektirebilir.

Algoritmanın genel adımları

Algoritma güvenli hale getirilebilir bir erişime izin verilip verilmeyeceğini belirlerken, kullandığı kesin adımlar sorumlulara ve ilgili güvenli hale getirilebilir öğelere bağlı olarak farklılık gösterebilir. Ancak algoritma aşağıdaki genel adımları gerçekleştirir:

1. İzin denetimini atlayın, eğer oturum açma sysadmin sabit sunucu rolünün bir üyesiyse veya kullanıcı geçerli veritabanında dbo kullanıcısıysa.

2. Sahiplik zinciri geçerliyse ve zincirde daha önce nesne üzerinde erişim denetimi güvenlik denetiminden geçtiyse erişime izin verin.

3. Güvenlik bağlamını oluşturmak için çağıranla ilişkili sunucu düzeyi, veritabanı düzeyi ve imzalı modül kimliklerini toplama.

4. Bu güvenlik bağlamı için izin alanı için verilen veya reddedilen tüm izinleri toplayın. İzin, açıkça GRANT, GRANT WITH GRANT veya DENY olarak belirtilebilir; ya da izinler, zımni veya kapsayıcı bir izin olan GRANT veya DENY olabilir. Örneğin, şemadaki CONTROL izni, tablodaki CONTROL iznini içerir. Tablodaki CONTROL ise SELECT anlamına gelir. Bu nedenle, şema üzerinde CONTROL verilmişse, tablo üzerinde SELECT de verilmiştir. Tabloda CONTROL reddedildiyse, tablodaki SELECT reddedilir.

   Note

   Sütun düzeyindeki bir iznin GRANT, nesne düzeyindeki bir DENY geçersiz kılar. Daha fazla bilgi için bkz DENY . Nesne İzinleri.

5. Gerekli izni belirleyin.

6. Gerekli izin, izin alanındaki nesneler için güvenlik bağlamındaki kimliklerden herhangi birine doğrudan veya dolaylı olarak reddedildiğinde, izin denetimi başarısız olur.

7. Gerekli izin reddedilmediyse ve gerekli izin, izin alanındaki herhangi bir nesne için güvenlik bağlamındaki kimliklerden herhangi birine doğrudan veya örtük olarak bir GRANT ya da GRANT WITH GRANT izni içeriyorsa izin denetimini geçerli sayın.

Sütun düzeyindeki izinler için özel dikkate alınması gerekenler

Sütun düzeyi izinleri <table_name>(<sütun_adı>) söz dizimi ile verilir. Örneğin:

GRANT SELECT ON OBJECT::Customer(CustomerName) TO UserJoe;

Tablodaki A DENY , sütundaki bir GRANT tarafından geçersiz kılınır. Ancak, tabloda sonraki bir DENY, GRANT sütununu kaldırır.

Examples

Bu bölümdeki örneklerde izin bilgilerinin nasıl alınıyor olduğu gösterilmektedir.

A. İzin verilebilen izinlerin tam listesini döndürme

Aşağıdaki deyim, fn_builtin_permissions işlevini kullanarak tüm Veritabanı Altyapısı izinlerini getirir. Daha fazla bilgi için bkz. sys.fn_builtin_permissions.

SELECT * FROM fn_builtin_permissions(default);
GO

B. Belirli bir nesne sınıfındaki izinleri döndürme

Aşağıdaki örnek, güvenli hale getirilebilir bir kategori için kullanılabilen tüm izinleri görüntülemek amacıyla fn_builtin_permissions kullanır. Örnek, derlemelerdeki izinleri iade eder.

SELECT * FROM fn_builtin_permissions('assembly');
GO

C. Nesne üzerinde yürütme sorumlusuna verilen izinleri döndürme

Aşağıdaki örnek, fn_my_permissions çağrıyı yapan birimin belirtilen bir güvenlik nesnesi üzerinde sahip olduğu geçerli izinlerin listesini döndürmek için kullanır. Örnek, Orders55 adlı bir nesne üzerinde izinler döndürür. Daha fazla bilgi için bkz. sys.fn_my_permissions.

SELECT * FROM fn_my_permissions('Orders55', 'object');
GO

D. Belirtilen bir nesne için geçerli izinleri döndürme

Aşağıdaki örnek, adlı Yttriumbir nesne için geçerli izinleri döndürür. Yerleşik işlev OBJECT_ID , nesnesinin Yttriumkimliğini almak için kullanılır.

SELECT * FROM sys.database_permissions
    WHERE major_id = OBJECT_ID('Yttrium');
GO

İlgili içerik

• İzin Hiyerarşisi (Veritabanı Altyapısı)
• sys.database_permissions (Transact-SQL)